公司刚入职的小李，上班不到一小时就因为看视频被IT部门警告。其实这事儿不怪他，很多新员工都不清楚公司对上网有哪些限制。这时候，一套合理的上网行为管理配置就显得特别重要。
什么是上网行为管理配置
简单来说，就是通过技术手段对企业或组织内部的网络使用进行规范和控制。比如限制访问娱乐网站、控制下载速度、记录员工上网日志等。目的不是为了监视谁，而是保障工作效率、防止数据泄露、节省带宽资源。
常见的管理策略设置
大多数企业用的是路由器或专用网关设备自带的行为管理系统。以常见的华为AR系列路由器为例，可以通过ACL（访问控制列表）来实现基本的网页过滤。
acl number 3001
rule 5 deny ip source 192.168.10.0 0.0.0.255 destination www.baidu.com any
rule 10 permit ip source 192.168.10.0 0.0.0.255上面这段配置的意思是：禁止来自192.168.10.0网段的设备访问百度域名相关的流量，其他都允许。虽然实际中不会真把百度全禁了，但类似逻辑可以用来封杀视频、社交、游戏类站点。
按部门划分上网权限
销售部需要查资料、发邮件，适当放开社交媒体没问题；而生产车间的终端最好只允许访问内部系统。这时候可以用VLAN结合策略路由来做差异化控制。
例如，在防火墙上创建不同安全区域：
zone name Sales
set priority 50
zone name Production
set priority 10然后为每个区域绑定不同的上网策略，生产区只能访问指定IP，销售区可访问常见办公网站。
日志审计不是摆设
很多单位装了行为管理设备，但从不看日志。某次财务部电脑中了木马，往外传数据，结果翻日志发现前一天就有异常外联行为，可惜没人注意到。开启日志记录并定期抽查，能及时发现问题终端。
比如在深信服AC设备上启用URL日志记录：
log enable url-filter
log server 192.168.5.100 port 514这样所有用户的网页访问都会被收集到日志服务器，方便后续追溯。
移动端也不能放松
现在不少人用手机连公司Wi-Fi，同样可能造成信息外泄。可以在无线控制器上设置认证页面，要求员工登录后才能上网，并绑定手机号或工号。一旦出现异常行为，能快速定位责任人。
比如H3C的WX系列无线控制器支持微信认证接入，用户扫码登录后自动应用对应的上网策略，既方便又可控。
别忘了给特殊岗位留条路
程序员要查技术文档，经常得上GitHub、Stack Overflow，如果一刀切全禁了，工作效率反而下降。可以针对特定IP段或账号组开放例外规则。
policy-based-route PBR_GITHUB
match ip source 192.168.20.50
apply permit这种“精准放行”比全员开放更安全，也更容易被管理层接受。